BlackFog最新研究显示，47%的安全负责人曾遭遇因使用AI工具导致的敏感数据泄露。该调查针对英美两国大型企业IT安全决策者，揭示出治理与技术控制措施正难以跟上企业AI应用的步伐。
在发生过数据泄露的组织中，高达77%表示事件涉及经批准的公司合规AI工具。BlackFog委托对400名员工规模超500人的企业IT安全决策者进行调查（英美受访者各占一半）。研究发现，39%的受访者认为AI采用速度已超过组织管理能力；而在感到被AI发展速度抛下的群体中，仅27%拥有全面的AI控制措施。
尽管98%的受访者表示其组织已制定AI使用政策，但执行层面存在显著落差。35%的受访者称虽有书面政策禁止输入特定内容，却缺乏技术执行手段；仅56%的受访者表示既支持广泛的AI使用政策，又配备了全面的技术控制措施。
可见性差距
研究指出，企业对员工与AI系统共享数据的监督能力有限。62%的受访者能识别向AI工具发送数据的用户或部门，但仅48%能提供流出数据类型的相关记录。
在自主AI智能体方面，管控缺口同样明显。56%的受访者表示，代表员工行动的AI智能体已超出组织现有控制范围，这一比例在技术和电信行业高达70%。
此外，“影子AI”呈现“检测强于预防”的特征。54%的受访者能阻止或限制未经授权的AI工具，而32%虽能检测到影子AI的使用，却无法持续有效地进行拦截。
最薄弱的控制环节
专有设计、创意和营销内容成为控制最薄弱的环节。32%的受访者可监控此类内容的分享行为，但无法始终如一地阻止；另有20%主要依赖书面政策或培训。对于销售数据、专有代码和知识产权等其他敏感材料，仅约半数组织具备技术手段防止风险性共享。
BlackFog创始人兼首席执行官Darren Williams博士指出，当数据输入控制较弱时，合规AI服务可能对安全团队构成与未经授权服务同等严重的威胁。“在报告敏感数据泄露的组织中，77%涉及公司批准的AI工具。这表明安全团队不能仅止步于决定允许使用哪些工具，还需严格控制共享信息。”
Williams强调：“书面政策仅能设定期望，无法单独阻止敏感数据外流。企业需掌握数据共享的可见性，并具备能在发生时阻止未经授权披露的技术控制措施，覆盖范围应包括批准的工具、非授权服务以及代表员工行动的智能体。”